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A program-controlled system has a circuit with two watchdog units 
(A,B) with program control signals generated (1, 2) by a microprocessor 
(3). 

For normal operation of the processor, the signal outputs are 
regularly-spaced pulses. The watchdogs react to any variation in this 
condition and generate resets (6, 7). The resets are combined by an 
AND-gate to produce a single reset (9). The outputs are also latched 
into D-type flip-flops (12,14). Test signals can also be introduced to 
evaluate the operation of the watchdog. 

ADVANTAGE - Allows watchdog to be tested. 
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Prufungsantrag gem. § 44 PatG 1st gestellt 

(§) Verfahren zum Oberwachen einer programmgesteuerten Schaltung 

@ Die Schaltung (3) gibt bei storungsfreiem Betrieb pro- 
grammgemaS ein Programmkontrollsignal (WDATRIG) ab, 
das einer Oberwachungseinheit (A) zugefuhrt wird, die bei 
gestortem Programmkontrollsignal ein auf die Schaltung (3) 
einwirkendes Signal (Reset) abgibt. 
Um die Funktionsfahigkeit der Oberwachungseinheit (A) 
prufen zu konnen, ist eine weitere Oberwachungseinheit (B) 
vorgesehen. Die Oberwachungseinheiten (A, B) werden 
gegensinnig alternierend mit dem Programmkontrollsignal 
(WDATRIG, WDBTRIG) und einem Storungstestsignal 
(WDBTRIG', WDATRIG') beaufschlagt und werden damit 
alternierend zur Schaltungsuberwachung und zur Selbstpru- 
fung herangezogen. 
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Beschreibung wahrend die andere Oberwachungseinheit auf ein nicht 

* ' ordnungsgemaBes Programmkontrollsignal mit einem 

Die Erfindung betrifft ein Verfahren zum Oberwa- auf die Schaltung einwirkenden Signal reagiert Die 

chen einer programmgesteuerten Schaltung, die bei std- durch die weitere Oberwachungseinheit entstehende 

rungsfreiem Betrieb programmgemaB ein Programm- 5 Redundanz vermindert nicht nur insgesamt die Gefahr 

kontrollsignal abgibt, — bei dem das Programmkon- eines Ausfalls der Schaltungsllberwachung, sondern er- 

trollsignal dem Eingang einer Oberwachungseinheit zu- laubt in vorteilhafter Weise auch eine fortlaufende 

geftihrt wird, die bei nicht ordnungsgemaBem Pro- Oberprtifung der Oberwachungseinheiten wahrend des 

grammkontrollsignal ein auf die Schaltung einwirken- Programmlaufs bei gieichzeitiger Schaltungsuberwa- 

des Signal abgibt. 10 chung. Das erfindungsgemaBe Verfahren erhdht da- 

A us der DE-A 1-32 40 704 ist ein derartiges Verfahren durch wesentlich die Zuverlassigkeit der Schaltungs- 

zum Oberwachen einer programmgesteuerten Schal- Oberwachung. 

tung (elektronischer Rechenbaustein) bekannt. Zur Eine vorteilhafte Weiterbildung des erfindungsgema- 

Funktionsuberwachung gibt die programmgesteuerte Ben Verfahrens besteht darin, daB von den Oberwa- 

Schaltung nach dem Einschalten der Versorgungsspan- 15 chungseinheiten auch dann ein Signal erzeugt wird, 

nung und nach Erreichen eines definierten Betriebszu- wenn die Versorgungsspannung der Oberwachungsein- 

standes ein Programmkontrollsignal ab, das aus diskre- heiten und/oder der Schaltung einen Schwellwert unter* 

ten, in einem vorgegebenen Rhythmus und in bestimm- schreitet Durch die fortwahrende Oberpriifung der 

ten Zeitfenstern auftretenden Einzelimpulsen besteht Funktion der Oberwachungseinheiten ist so auch eine 

Bei gestSrter Funktion der Schaltung tritt ein gestdrtes, 20 SuBerst zuverlassige Kontrolle der Versorgungsspan- 

nicht ordnungsgemaBes Programmkontrollsignal auf, nung gewahrleistet Vorzugsweise ist der Schwellwert 

bei dem die Einzelimpulse z, B. in unkorrekten zeitlichen entsprechend der f fir den ordnungsgemSBen Betrieb der 

Abstanden auftreten und/oder ganzlich unterbleiben. Schaltung und/oder der Oberwachungseinheiten not- 

Das gestorte Programmkontrollsignal wird von einer wendigen Spannung einstellbar. 

Oberwachungseinheit (Watch-Dog) erkannt, die ein auf 25 Eine zur Untersuchung und Auswertung des An- 

die Schaltung zurflckwirkendes Signal erzeugt Das Si- sprechverhaltens der Oberwachungseinheiten bevor- 

gnal kann einen Reset- oder Interrupt-Eingangder pro- zugte Ausgestaltung der Erfindung sieht vor, daB die 

grammgesteuerten Schaltung beaufschlagen und so als Zeitspanne zwischen dem Anlegen des Storungstestsi- 

Reset-Signal wirken, das den momentanen Programm- gnals und der Abgabe des Teststeuersignals bestimmt 

ablauf stoppt und erneuten Programmstart vom Pro- 30 wird. 

grammbeginn aus bewirkt Die Erfmdung wird beispielhaft nachfolgend anhand 

Die Oberwachungseinheit (Watch-Dog) kann nur einer Zeichnung naher erlautert; es zeigen: 

beim Einschalten und wahrend gezielt vorzunehmender Fig. 1 ein Blockschaltbild zur Oberwachung einer 

Schaltungstests GberprOft werden. Eine fehlerhafte programmgesteuerten Schaltung und 

Funktion der Oberwachungseinheit wahrend des Be- 35 Kg* 2 ein Struktogramm zur Erlauterung des Verfah- 

triebes der programmgesteuerten Schaltung (Pro- rensablaufs. 

grammlauf) kann nicht erkannt werden. Es besteht da- Die in Fig. 1 gezeigte Schaltung zur Durchfuhrung 

her ein Restrisiko, daB im St6rfall (z. B. durch Ausfall des erfindungsgemaBen Verfahrens enthalt zwei Ober- 

der Versorgungsspannung oder bei endlosen Pro- wachungseinheiten (Watch- Dog) A, B, deren Eingange 

grammschleifen) die programmgesteuerte Schaltung 40 t, 2 jeweiis mit einem Programmkontrollsignal beauf- 

nicht an den Programmbeginn zuruckgesetzt wird. schlagbar sind. Das Programmkontrollsignal wird von 

Die Aufgabe der Erfindung besteht daher in der einer programmgesteuerten Schaltung 3 in Form eines 

Schaffung eines Verfahrens, bei dem ohne Beeintrachti- Mikroprozessors erzeugt und ist fur beide Oberwa- 

gung der Funktionsuberwachung der programmgesteu- chungseinheiten A, B identisch. Es wird alternierend an 

erten Schaltung auch wahrend des Programmlaufs eine 45 Datenausgangen 4, 5 des Mikroprozessors 3 abgegeben 

Oberpriifung der Oberwachungseinheit moglich ist und ist nur zur vereinfachten Zuordnung zu den Uber- 

Diese Aufgabe wird bei dem Verfahren der eingangs wachungseinheiten A, B unterschiedlich (mit WDA- 

genannten Art erfindungsgemSB dadurch gelost, TRIG, WDBTRIG) bezeichnet. Bei stSrungsfreiem Pro- 

grammablauf erzeugt der Mikroprozessor 3 programm- 

— daB der Oberwachungseinheit alternierend mit 50 gemaB diskrete Einzelimpulse in vorgegebenen zeitli- 
dem Programmkontrollsignal ein Starungstestsi- chen Abstanden. Die Oberwachungseinheiten sind auf 
gnal zugefflhrt wird, das einem nicht ordnungsge- das ordnungsgemaBe Programmkontrollsignal abge- 
maBen Programmkontrollsignal entspricht, stimmt und geben nur bei Abweichungen (z. B. Ausblei- 

— daB dem Eingang einer weiteren Oberwa- ben oder Frequenzerh6hung der Einzelimpulse) von 
chungseinheit gegensinnig alternierend zu der ei- 55 diesem und beim Absinken der Versorgungsspannung 
nen Uberwachungseinheit das Stdrungstestsignal unter einen vorgegebenen Schwellwert an ihren Aus- 
und das Programmkontrollsignal zugefuhrt wird gangen6,7einSignalRESETA,RESETBbzw.(imnach- 
und folgend beschriebenen Testbetrieb) Teststeuersignale 

— daB die jeweiis mit dem Storungstestsignal be- RESETA', RESETB' ab. Aufbau und Funktionsweise 
aufschlagte Oberwachungseinheit auf die Abgabe 60 der Oberwachungseinheiten A, B entsprechen grund- 
eines Teststeuersignals aufgrund des Stdrungstest- satzlich der aus der DE-A1-32 40 704 bekannten Ober- 
signals ilberwacht wird, wahrend die Oberwachung wachungseinheit 

der Schaltung von der jeweiis anderen mit dem Die Signale RESETA, RESETB bzw. RESETA', RE- 

Programmkontrollsignal beaufschlagten Oberwa- SETB' beaufschlagen die Eing&nge eines UND-Gliedes 

chungseinheit ubernommen wird. 65 8, an dessen Ausgang 9 nur dann ein Signal RESET 

(Steuersignal) anliegt, wenn eingangsseitig die Signale 

Bei dem erfindungsgemaBen Verfahren wird alternie- RESETA, RESETB' oder RESETA', RESETB anliegen. 

rend jeweiis die eine Oberwachungseinheit OberprQft, Das Steuersignal RESET wird auf einen Rucksetzein- 
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gang 10 des Mikroprozessors 3 gefUhrt und dient als 
RGcksetzsignal, das einen Programm-Abbruch end 
Neustart bewirkt Die Signale RESETA, RESETB wer- 
den aufierdem einem ersten 12 und zweiten Flip-Flop- 
Baustein 14 eingangsseitig zugefuhrt; deren Rucksetz- 5 
eingange R sind mit dem Programmkontrollsignal 
WDATRIG, WDBTRIG beaufsehiagbar. An den Flip- 
Flop-Bausteinen 12, 14 liegt ausgangsseitig jeweils das 
Signal RESETA, RESETB bzw. RESETA', RESETB' an, 
das von Dateneingangen 16, 17 des Mikroprozessors 3 10 
abfragbarist 

Zur Oberprufung der Oberwachungseinheit B wird 
wie folgt verfahren: Das Programmkontrollsignal 
WDATRIG liegt am Eingang 1 der einen Oberwa- 
chungseinheit A an; bei ordnungsgemSSem Programm- 15 
konirollsignal fehlt es am Signal RESETA, so daB kein 
Steuersignal RESET auftreten kann. In dieser Constel- 
lation wird die Funktionsuberwachung des Mikropro- 
zessors 3 also von der Oberwachungseinheit A iiber- 
nommen, wahrend die andere Oberwachungseinheit B 20 
durch den Mikroprozessor 3 gepruft wird Dazu wird 
der Eingang 2 der Oberwachungseinheit B mit einem 
Stdrungstestsignal WDBTRIC beaufschlagt, das einem 
nicht ordnungsgemaBen (z.B. vollstandig fehlenden) 
Programmkontrollsignal entspricht Die Abgabe des 25 
von der Oberwachungseinheit B erzeugten Teststeuer- 
signals RESETB' als Reaktion auf das StSrungstestsi- 
gnals WDBTRIG' an den Fiip-Flop-Baustein 14 wird 
von dem Dateneingang 17 des Mikroprozessors 3 tiber- 
wacht. Tritt das Teststeuersignal RESETB' korrekt und 30 
recht2eitig auf, erkennt der Mikroprozessor 3 die Ober- 
wachungseinheit B als f unktionsfahig. 

1st in dieser Konsteliation dagegen das Programm- 
kontrollsignal WDATRIG nicht ordnungsgemaB, gibt 
auch die Oberwachungseinheit A ein Signal RESETA 35 
ab, so daB das Steuersignal RESET am Ausgang des 
UND-GIiedes 8 auftritt In dem Fall, daB die Oberwa- 
chungseinheit B defekt ist und keinTeststeuersignal RE- 
SETB' abgibt, tritt zwar kein Steuersignal RESET auf; 
der Mikroprozessor 3 erkennt aber in diesem Fall den 40 
Funktionsfehler und generiert ein Warnsignal 
Darauf folgend werden die Oberwachungseinheiten A, 
B alternierend gegensinnig beaufschlagt, so daB nun 
entsprechend die uberwachungseinheit B zur Signaler- 
zeugung im Stttrungsfall und damit zur Oberwachung 45 
des Mikroprozessors 3 mit dem Programmkontrollsi- 
gnal WDBTRIG beaufschlagt wird, wahrend die Ober- 
wachungseinheit A mit dem Storungstestsignal WDA- 
TRIG' beaufschlagt und die entsprechende Abgabe des 
Teststeuersignals RESETA' vom Mikroprozessor 3 50 
iiber dessen Dateneingang 16 geprtift wird. Im nSchsten 
Zyklus erfolgt wieder eine gegensinnig alternierende 
Beaufschlagung der Oberwachungseinheiten A, B, die . 
der ersten beschriebenen Konsteliation entspricht 

Fig. 2 beschreibt detailliert den Verfahrensablauf. Zu 55 
Beginn (Einschalten des Gerats) wird bedarfsweise eine 
initialisierung durchgeftihrt, wobei vorzugsweise das 
Programmkontrollsignal WDATRIG, WDBTRIG 
gleichzeitig an die Eingange 1, 2 beider Oberwachungs- 
einheiten A, B (Fig. 1) angelegt wird (Verfahrenszweig 6q 
20 in Fig. 2). 

Nach Initialisierung wird zur OberprUfung der Ober- 
wachungseinheit (Watch-dog) A im Verfahrenszweig 21 
das Programmkontrollsignal WDBTRIG (Verfahrens- 
schritt: trigB) ausgegeben. AnschlieBend wird geprflft, es 
ob das Storungstestsignal (scheinbar gestdrtes Pro- 
grammkontrollsignal) dazu gefuhrt hat, daB die Ober- 
wachungseinheit A nach Ablauf einer vorgegebenen 



Reaktionszeit das Teststeuersignal RESETA' ausgibt. 
Im Hinblick auf die in den Oberwachungseinheiten ein- ' 
gesetzten, retriggerbaren Zeitglieder ist dieser Verfah- 
rensschritt mit "A abgelaufen" bezeichnet Die bis zur 
Ausgabe des Teststeuersignals RESETA' verstreichen- 
de Zeit wird von einem Inkremental-Zahler (Verfah- 
rensschritt: "Zahler inkrementieren") angegeben, der bis 
zu einem zulassigen Grenzwert hochgezMhlt wird (Ver- 
fahrensschritt: "Grenzwert vom Zahler erreicht?"). Ist 
der Zahlergrenzwert erreicht, ohne daB ein Teststeuer- 
signal der zu Qberprufenden Oberwachungseinheit von 
dem Mikroprozessor erkannt worden ist, deutet dies auf 
einen Defekt der Oberwachungseinheit hin. Bei recht- 
zeitiger Erzeugung des Teststeuersignals wird anschiie- 
Bend der Zahler zuruckgesetzt Die Schaltung (Mikro- 
prozessor) 3 wird derweil von der Oberwachungseinheit 
B viberwacht, die bei gesttfrtem Programmkontrollsi- 
gnal WDBTRIG das Signal RESETB erzeugt, das iiber 
das UND-Glied 8 (Fig. 1) zusammen mit dem bei kor- 
rekt arbeitender Oberwachungseinheit A vorliegenden 
Teststeuersignal RESETA' das (ROcksetz-) Steuersignal 
RESET erzeugt 

In entsprechender Weise mit umgekehrter Beauf- 
schlagung der Oberwachungseinheiten wird die andere 
Oberwachungseinheit B gemafl Verfahrenszweig 22 ge- 
pruft (wenn die Abfrage "Watch-Dog A uberprufen" mit 
Nein (N) beantwortet wird). Die verbleibende Oberwa- 
chungseinheit A wird dazu entsprechend mit dem Pro- 
grammkontrollsignal beaufschlagt (trig A) und die 
Uberwachungseinheit B wie vorstehend analog be- 
schrieben gepruft 

Das erfindungsgemaBe Verfahren erlaubt mit gerin- 
gem schaitungstechnischem Aufwand eine wesentliche 
Erhohung der Zuverlassigkeit einer Funktionsiiberwa- 
chung einer programmgesteuerten Schaltung, indem die 
beiden Oberwachungseinheiten gegensinnig alternie- 
rend zur Oberwachung der Schaltung und zum Selbst- 
test herangezogen werden. 

Patentansprtiche 

1. Verfahren zum Oberwachen einer programmge- 
steuerten Schaltung (3), die bei storungsfreiem Be- 
trieb programmgemaB ein Programmkontrollsi- 
gnal (WDATRIG) abgibt, 

— bei dem das Programmkontrollsignal 
(WDATRIG) dem Eingang (1) einer Oberwa- 
chungseinheit (A) zugefiihrt wird, die bei nicht 
ordnungsgem&Bem Programmkontrollsignal 
ein auf die Schaltung (3) einwirkendes Signal 
(RESETA) abgibt, dadurch gekennzeichnet, 

— daB der Oberwachungseinheit (A) alternie- 
rend mit dem Programmkontrollsignal (WDA- 
TRIG) ein Storungstestsignal (WDATRIG') 
zugefiihrt wird, das einem nicht ordnungsge- 
maBen Progracamkontrollsignal entspricht, 

— daB dem Eingang (2) einer weiteren Ober- 
wachungseinheit (B) gegensinnig alternierend 
zu der einen Oberwachungseinheit (A) das 
Storungstestsignal (WDBTRIG') und das Pro- 
grammkontrollsignal (WDBTRIG) zugefiihrt 
wird und 

— daB die jeweils mit dem Stdrungstestsignal 
(WDBTRIG') beaufschlagte Oberwachungs- 
einheit (B) auf die Abgabe eines Teststeuersi- 
gnals (RESETB') aufgrund des Storungstestsi- 
gnal (WDBTRIG') Uberwacht wird, wahrend 
die Oberwachung der Schaltung (3) von der 
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jeweils anderen mit dem Programmkontrollsi- 
gnal (WDATRIG) beaufschlagten Oberwa- 
chungseinheit (A) Qbernommen wird. 
, 2. Verfahren nach Anspruch 1, dadurch gekenn- 
zeichnet, daB von den Uberwachungseinheiten (A, 5 
B) auch dann ein Signal (RESETA, RESETB) abge- 
geben wird, wenn die Versorgungsspannung der 
Uberwachungseinheiten A, B und/oder der Schal- 
tung 3 einen Schwellwert unterschreitet 
3. Verfahren nach Anspruch 1 oder 2, dadurch ge- 10 
kennzeichnet, daB die Zeitspanne zwischen dem 
Anlegen des StSrungstestsignals (WDATRIG', 
WDBTRIG') und der Abgabe des Teststeuersignals 
(RESETA', RESETB') bestimmt wird. 
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